自定义IdentityServer Cookie生成器：令牌存声明Cookie不存及权限疑问

1. 替换默认Cookie生成器为自定义实现 #

IdentityServer中，.AspNetCore.Identity.Application Cookie的内容是通过ITicketDataFormat接口序列化/反序列化的，要自定义Cookie内容，核心是替换这个接口的实现：

步骤1：实现自定义ITicketDataFormat #

这个类负责处理AuthenticationTicket的加密/解密，我们可以在加密前过滤掉冗余声明：

public class CustomTicketDataFormat : ITicketDataFormat
{
    private readonly ISecureDataFormat<AuthenticationTicket> _innerFormat;

    public CustomTicketDataFormat(ISecureDataFormat<AuthenticationTicket> innerFormat)
    {
        _innerFormat = innerFormat;
    }

    // 生成Cookie时过滤冗余声明
    public string Protect(AuthenticationTicket ticket)
    {
        // 只保留业务必需的声明，示例保留用户ID、用户名，可按需调整
        var requiredClaims = ticket.Principal.Claims.Where(c => 
            c.Type == ClaimTypes.NameIdentifier || 
            c.Type == ClaimTypes.Name
            // 可添加其他必要声明，比如自定义的用户权限标识
        ).ToList();

        // 构建新的ClaimsIdentity和AuthenticationTicket
        var filteredIdentity = new ClaimsIdentity(requiredClaims, ticket.Principal.Identity.AuthenticationType);
        var filteredPrincipal = new ClaimsPrincipal(filteredIdentity);
        var filteredTicket = new AuthenticationTicket(filteredPrincipal, ticket.Properties, ticket.AuthenticationScheme);

        return _innerFormat.Protect(filteredTicket);
    }

    // 解密Cookie时直接复用原有逻辑
    public AuthenticationTicket Unprotect(string protectedText)
    {
        return _innerFormat.Unprotect(protectedText);
    }
}

步骤2：在服务配置中替换默认实现 #

在Program.cs（或Startup.cs）的Identity配置环节，覆盖Cookie的TicketDataFormat：

builder.Services.ConfigureApplicationCookie(options =>
{
    // 基于默认的数据保护机制创建内部格式
    var dataProtector = builder.Services.BuildServiceProvider()
        .GetRequiredService<IDataProtectionProvider>()
        .CreateProtector("Microsoft.AspNetCore.Authentication.Cookies.CookieAuthenticationMiddleware",
            options.AuthenticationScheme, "v2");
    
    var innerTicketFormat = new TicketDataFormat(dataProtector);
    // 替换为自定义实现
    options.TicketDataFormat = new CustomTicketDataFormat(innerTicketFormat);

    // 可同时调整Cookie的其他配置，比如过期时间、HttpOnly等
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
    options.Cookie.HttpOnly = true;
});

2. 声明与角色能否无风险移除？ #

不能一概而论，需根据业务依赖判断：

• 核心声明绝对不能删：

  • sub（对应ClaimTypes.NameIdentifier）：IdentityServer识别用户身份的唯一标识，移除后会导致用户身份验证失效，后续的令牌请求、授权流程都会失败。
  • 若前端或后端需要展示用户名，name（ClaimTypes.Name）也需保留。

• 角色声明（Role）：

  • 如果你的系统存在基于角色的授权逻辑（比如后端API用[Authorize(Roles="Admin")]、IdentityServer的客户端/API资源配置了角色要求），则必须保留；
  • 如果完全没有用到角色授权，仅前端展示用，可考虑移除，但建议先排查所有代码和配置中的角色依赖点。

• 冗余声明可按需移除：

  • 类似amr（认证方式）、iat（签发时间）、nbf（生效时间）这类声明，若业务无直接依赖，可安全移除；
  • 注意：部分IdentityServer的内部逻辑可能依赖少量元数据声明，建议先在测试环境移除后，验证登录、令牌获取、API授权等全流程是否正常。

内容的提问来源于stack exchange，提问作者Navid_pdp11